用于清理事件属性的 HTML Purifier

Question

我正在努力解决一些存储型 XSS 漏洞，并且我正在使用 HTMLPurifier。我在页面上有一个输入框，如果我输入 '" onclick="alert(1);" 代码将保存到数据库并在客户端上执行。即使在通过净化器运行输入和输出后也会发生这种情况。它似乎 HTMLpurifier 只在 html 标记中包含这些属性时才去除这些属性。我想知道是否有一些净化器配置会去除事件属性或有关如何清理这些属性的任何其他建议。

Answer 1

HTML Purifier 纯粹用于将在页面上用作 HTML 的内容。它不适用于验证内容，例如，将进入 HTML 元素的属性。

您可以使用 HTML Purifier 的一些内部 API 来验证这种情况下的内容。但是，对于 cmets 中引用的示例，您只需要htmlspecialchars 就可以做正确的事情。验证器的正确选择取决于您将内容放入的属性。